mario01
Goto Top

Größere Probleme mit Virus Delwin1759

Hallo,

ich habe z.Z. große Probleme von einem Kundenrechner den Virus Delwin1759 zu entfernen. Der Virus ist lt. verschiedenen Virenenzyklopedien bereits von 1994, aber eine richtige Anleitung zum entfernen konnte ich nicht ausmachen.
Das übliche Verfahren den Rechner mit einem sauberen Virus/Updategeschützen Rechner zu bereinigen funktioniert nicht. Der Virus sitzt im MBR, da geht Bitdefender nicht dran. Schlimmer noch, den Virenscanrechner ist nun auch infiziert.
Hat jmd schon Erfahrung damit und kann hier weiterhelfen. Ich wäre euch sehr dankbar.

MfG Mario

ps: Komplett platt machen steht ausser Diskussion. face-smile

Content-Key: 72253

Url: https://administrator.de/contentid/72253

Ausgedruckt am: 29.03.2024 um 01:03 Uhr

Mitglied: SvenGuenter
SvenGuenter 30.10.2007 um 08:07:09 Uhr
Goto Top
knoppixcd und dann scannen und löschen. Im Vorfeld ein fdisk/mbr machen dann müßte der weg sein
Mitglied: mario01
mario01 30.10.2007 um 08:22:59 Uhr
Goto Top
Danke für deine Hilfe. Von KnoppixCD Starten ist aber praktisch das gleiche wie die Platte an einen anderen Rechner und fdisk ist doch W98 - das OS ist aber XP und das Dateisystem NTFS. face-sad
Mitglied: SvenGuenter
SvenGuenter 30.10.2007 um 08:54:03 Uhr
Goto Top
nope das fdisk kannst du auch über die administrationskonsole bei xp machen. Nix nur 98 ;o)

Und mit Knoppixcd starten ist nicht ganz das gleiche. Bootsequence nur auf cd stellen. Dann wird der MBR von der HDD nicht angesprochen. Vor allem wird der Virus wenn er noch auf der platte ist nicht aktiviert und damit hast du bessere Chancen den zu löschen

[edit: Codefenster gelöscht wegen Unübersichtlichkeit des Threads, ein Link hätte es genauso getan. gnarff /el moderador]
Mitglied: gnarff
gnarff 01.11.2007 um 23:33:02 Uhr
Goto Top

Komplett platt machen steht ausser Diskussion.

Da wird das Gesicht aber nun extrem lang werden, da sich der Delwin.1759 über eine infizierte selbst ausführende Datei, die sich noch irgendwo auf dem Rechner befinden muss, jedesmal wieder neu installiert.

Da der Delwin außerdem Arbeitsspeicherresident und verschlüsselt ist, dazu noch über Rootkitqualitäten verfügt, wirst Du über ein "platt machen" des "Kundenrechners" nicht herumkommen.

Der Delwin wird in der Regel als Zugabe zu Serial-Generatoren geliefert, auch Keygens genannt.

Das formatieren mit dem Formatierspielzeug von Bill Gates Windows Installationsdisk hilft da auch nicht weiter, denn um eine saubere Festplatte zu erhalten bedarf es einer Low-level Formatierung oder in anderen Worten, man muss die Festplatte komplett auf Null setzen.
Das macht man mit der Maxtor PowerMax 4.23 Bootable CD .ISO , je nach Plattengroesse dauert das bis zu 12 Stunden -genieße das Arbeitsleben...

saludos
gnarff
Mitglied: mario01
mario01 02.11.2007 um 07:48:19 Uhr
Goto Top
Morgen,

da hast du Recht. Aber leider steht platt machen eh nicht zur Diskussion. face-smile
Akuteller Stand der Dinge:

Den Rechner für den Virenscan habe ich wieder sauber bekommen (Knoppix / fixmbr), den Kundenrechner zwischenzeitlich auch. Allerdings hat er sich dort nach wenigen Minuten wieder eingenisstet, was für die Theorie mit der Datei spricht. Ich bin mir allerdings sicher dass es kein Keygen ist, da der Kunde erst seit wenigen Tagen Internet hat und damit überhaupt nichts am Hut hat, ich denke eher dass der Virus schon seit Jahren da schlummert und mangels Virenscanner nicht aufgefallen ist.

Ich habe den Fall jetzt bei Softwin/BItdefender eingereicht, kann ja irgendwo nicht sein, so selten wie man es heute noch mit Viren zu tun hat (i.d.R. vor allem Malware), wenn doch mal einer auftaucht, dass sich der Bitdefender trotz dessen dass er vorher installiert / geupdatet war sich so überrennen lässt. Ich halte euch auf dem Laufenden. Wenn doch noch jmd eine andere Idee hat, nur her damit. face-smile

MfG
Mario
Mitglied: gnarff
gnarff 02.11.2007 um 14:32:04 Uhr
Goto Top
Der Delwin hat auch den Beinamen NOKILL, das sollte Dir eigentlich alles sagen; selbstverständlich steht es Dir frei noch solange daran herumzudoktern wie Du es für nötig erachtest.
Die Festplatte nicht wie oben beschrieben neu zu formatieren ist meiner Meinung nach unprofessionell, aber Meinungen gibt es ja bekanntlich so viele wie Darmausgänge - jeder hat einen...

saludos
gnarff
Mitglied: SvenGuenter
SvenGuenter 02.11.2007 um 14:39:35 Uhr
Goto Top
Schaust du mal hier

http://www.virushelpmunich.de/info/remover/

und dann in der Tabelle nach diesem Eintrag
K_DELWIN.ZIP 32702 16.05.02 K-Delwin.1759 1.20 Update!
Viruskiller for the Delwin.1759 virus
Detects the Delwin.1199 variants, too
Contains generic virus detection test
Freeware from ROSE SWE

Gruß

Sven